← Zpět na blog Tracking

Otiskování prohlížeče bez souborů cookie: Co vlastně GDPR povoluje

· 6 min čtení
browser fingerprinting canvas fingerprinting WebGL ePrivacy consent

Většina platforem pro správu souhlasů je postavena na souborech cookie. Zobrazí se banner s žádostí o souhlas, uživatel klikne a platforma CMP nastaví nebo odepře document.cookie . Tato architektura vytváří systematickou slepou skvrnu: techniky otisků prstů prohlížeče, které se nikdy nedotýkají úložiště souborů cookie, jsou běžně nasazovány před, během a po interakci s souhlasem — a právní týmy o nich často nemají vůbec žádný přehled.

Technická anatomie otiskování prstů bez souborů cookie

V moderních stackech pro identifikaci dominují tři API právě proto, že vytvářejí identifikátory s vysokou entropií bez nároků na úložný prostor:

Fingerprinting pomocí Canvas

Skript nakreslí text nebo tvary do prvku mimo obrazovku <canvas> prvku mimo obrazovku pomocí 2D API Canvas a poté načte zpět data o pixelech pomocí canvas.toDataURL() nebo ctx.getImageData(). Rozdíly v ovladačích GPU, implementacích vyhlazování a vykreslování fontů vytvářejí hash specifický pro dané zařízení. Operace probíhá tiše — bez Set-Cookie hlavičky, žádný localStorage zápis, nic v inspektoru úložiště prohlížeče.

Fingerprinting AudioContext

Web Audio API OfflineAudioContext zpracovává syntetický zvukový signál (obvykle oscilátor procházející kompresorovým uzlem). Výstupní vlnová křivka, načtená přes getChannelData(), se nepatrně liší v závislosti na hardwaru a implementaci zvukového stacku operačního systému. Tato odchylka, když je podrobená hashování, poskytuje stabilní sekundární zdroj entropie, který přežije vymazání cookies, soukromé prohlížení a použití VPN.

Fingerprinting WebGL

WEBGL_debug_renderer_info odhaluje řetězec výrobce GPU a řetězec rendereru přímo prostřednictvím gl.getParameter(). V kombinaci s výstupy z provádění shaderů WebGL — které se liší v závislosti na verzi ovladače — to poskytuje jeden z individuálních signálů s nejvyšší entropií dostupných v kontextu prohlížeče. Prohlížeče jako Firefox zde začaly vracet zfalšované řetězce, ale většina uživatelských agentů založených na Chrome stále odhaluje skutečné hodnoty.

V kombinaci s vlastnostmi navigátoru (navigator.hardwareConcurrency, navigator.deviceMemory), geometrií obrazovky, časovým posunem a výčtem nainstalovaných fontů prostřednictvím CSS nebo Canvas, dosahují tyto signály u uživatelů stolních počítačů bez VPN běžně pravděpodobnosti opětovné identifikace převyšující pravděpodobnost u cookies třetích stran.

Proč je „Žádný soubor cookie = není vyžadován souhlas“ právním mýtem

Klíčové ustanovení GDPR se o cookies vůbec nezmiňuje. Článek 5(1)(a) vyžaduje, aby zpracování bylo zákonné, spravedlivé a transparentní. Článek 6 vyžaduje zákonný základ pro jakékoli zpracování osobních údajů – a otisk prohlížeče, který dokáže znovu identifikovat fyzickou osobu, je podle článku 4(1) jednoznačně osobním údajem.

Směrnice o soukromí a elektronických komunikacích (2002/58/ES), článek 5(3) – ve znění provedeném do vnitrostátního práva – vyžaduje předchozí informovaný souhlas s ukládáním informací do koncového zařízení uživatele nebo s přístupem k informacím z něj. Rozsudek Soudního dvora Evropské unie ve věci C-673/17 (Planet49) potvrdil, že tato povinnost se neomezuje pouze na soubory cookie: výraz „již uložené informace“ v koncovém zařízení zahrnuje jakékoli čtení stavu zařízení, včetně signálů otisků prstů odvozených z konfigurace hardwaru a softwaru.

Pokyny EDPB 05/2020 o souhlasu toto potvrzují: souhlas musí být konkrétní, informovaný, jednoznačný a svobodně udělený. Otiskování, ke kterému dochází před signálem souhlasu nebo nezávisle na něm, nesplňuje všechna čtyři kritéria současně.

Za zmínku stojí jeden precedens v oblasti vymáhání práva: francouzský úřad CNIL se ve svých pokynech k souborům cookie výslovně zabýval identifikací pomocí otisků prstů a uvedl, že čtení charakteristik zařízení za účelem vytvoření identifikátoru spadá pod čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích a vyžaduje souhlas rovnocenný s tím, který se vyžaduje u souborů cookie. Postoj úřadu ICO je v podstatě totožný.

Slepá ulička oprávněného zájmu

Provozovatelé někdy argumentují, že fingerprinting za účelem odhalování podvodů nebo z bezpečnostních důvodů spadá pod článek 6 odst. 1 písm. f) – oprávněné zájmy – bez nutnosti souhlasu. Tento argument je užší, než se zdá.

Analýza Soudního dvora Evropské unie ve věci C-252/21 (Meta/Bundeskartellamt), ačkoli se zaměřovala na profilování chování, stanovila, že oprávněný zájem vyžaduje skutečné zvážení, při kterém se rozumné očekávání subjektu údajů porovnává se zájmem správce. Nelze rozumně tvrdit, že uživatelé, kteří nebyli informováni o tom, že řetězec jejich GPU rendereru je hashován za účelem vytvoření trvalého identifikátoru, to očekávali.

Rozhodující je rozsah otisků prstů. Použití minimálního signálu zařízení (např. IP adresy v kombinaci s User-Agent) pro hodnocení podvodů v reálném čase během transakce je na základě oprávněných zájmů obhajitelné. Vytvoření trvalého mezisessionového otisku prstu, který je uložen na straně serveru a používán pro analýzu chování, je podstatně odlišná operace – taková, která vyžaduje souhlas bez ohledu na technickou metodu použitou k jeho shromáždění.

Co je ve skutečnosti přípustné bez souhlasu

Existují úzké, provozně reálné případy použití, kdy je čtení signálu z koncového zařízení zákonné bez souhlasu:

  • Nezbytně nutné bezpečnostní operace: Čtení IP adresy, otisku TLS (hash JA3/JA4 generovaný na straně serveru z ClientHello) a HTTP hlaviček, včetně User-Agent pro detekci botů na základě jednotlivých požadavků, bez přetrvávání po skončení relace, je obhajitelné. Klíčovým omezením je zákaz reidentifikace napříč relacemi.
  • Signály na síťové vrstvě: Vzory dotazů DNS, otisky prstů TCP/IP stacku a analýza TLS handshake se odehrávají před spuštěním jakéhokoli JavaScriptu a nepředstavují „přístup k informacím uloženým v koncovém zařízení“ podle článku 5(3) ePrivacy. Spadají výhradně pod článek 6 GDPR a přechodné zpracování z bezpečnostních důvodů lze odůvodnit oprávněnými zájmy s dokumentovaným testem vyváženosti.
  • Pouze signály na straně serveru: Pokud není na straně klienta vyvoláno žádné JavaScript API a identifikace se opírá výhradně o hlavičky přijaté serverem, článek 5 odst. 3 směrnice o soukromí a elektronických komunikacích se neuplatní. GDPR se stále uplatňuje, ale analýza právního základu je jasnější.

Praktický kontrolní seznam pro pověřence pro ochranu osobních údajů a technické vedoucí

  1. Zachyťte a zkontrolujte svůj vlastní JavaScript: Použijte prohlížeč s koncovým bodem pro hlášení Content Security Policy a zkontrolujte všechny skripty, zda neobsahují volání HTMLCanvasElement.toDataURL, OfflineAudioContext, WEBGL_debug_renderer_info, a navigator.hardwareConcurrency. Nástroje jako fp-detective nebo vlastní skener založený na Puppeteer mohou tento proces automatizovat ve velkém měřítku napříč vašimi subdoménami.
  2. Auditujte datové náplně tagů třetích stran: Správci tagů načítá skripty dodavatelů, které správci nikdy neauditují. Skutečnost, že volání pro identifikaci otisků prstů pochází z analytického SDK, nezbavuje správce odpovědnosti podle článku 28. Vyžadujte od svých dodavatelů, aby ve svých přílohách k DPA deklarovali veškerý přístup k koncovým zařízením.
  3. Zkontrolujte provádění před udělením souhlasu: Analýza časování sítě by měla potvrdit, že se žádný skript pro fingerprinting nespustí před přijetím platného signálu souhlasu. To se liší od načítání CMP – samotný JavaScript CMP nesmí provádět fingerprinting před udělením souhlasu.
  4. Zaznamenejte svůj test vyváženosti: Pokud se při jakémkoli zpracování signálů zařízení opíráte o oprávněné zájmy, vypracujte písemný test vyváženosti, který uvádí konkrétní signály, účel zpracování, dobu uchovávání a výsledek vyvážení. Obecný LIA zahrnující „prevenci podvodů“ je nedostatečný.
  5. Zahrňte identifikaci do svého ROPA: Záznamy podle článku 30 musí odrážet skutečné činnosti zpracování. ROPA, které uvádí „cookies“, ale opomíjí reidentifikaci založenou na Canvas/WebGL, je neúplné a vytváří regulační riziko.

Potřebná změna architektury dodržování předpisů

Základním problémem je, že většina architektury souhlasu je zaměřena spíše na ukládání než na zpracování. GDPR je zákon o zpracování. Spouštěč souhlasu musí být vázán na akt shromažďování a zpracování identifikačních signálů – nikoli na akt zápisu do úložiště souborů cookie.

CMP musí vynucovat blokování provádění JavaScriptu na úrovni volání API, nikoli pouze na úrovni zápisu do cookie. To znamená použití technik nativních pro prohlížeč, jako je přepsání HTMLCanvasElement.prototype.toDataURL , aby se před udělením souhlasu vrátila neutrální hodnota, nebo použití zachycení service workerem k úplnému potlačení načítání skriptů pro otisky prstů, dokud neexistuje platný signál souhlasu v localStorage nebo je sdělen prostřednictvím postMessage kanálu z iframe CMP.

Provozovatelé, kteří považují fingerprinting za náhradní řešení bez souhlasu v případě odmítnutí souhlasu s cookies, se nenacházejí v šedé zóně. Zpracovávají osobní údaje bez zákonného základu – a technická sofistikovanost této metody právní rizika nesnižuje, ale naopak je zesiluje.

Tento článek byl vytvořen s pomocí umělé inteligence a redakčně zkontrolován. Právní otázky by vždy měly být konzultovány s kvalifikovaným odborníkem na ochranu dat.

Související články